¿Es seguro desuscribirse de correos spam? Cuándo hacer clic

Sí, los enlaces para cancelar la suscripción pueden ser maliciosos, y los riesgosos están en los correos de remitentes que no conoces. En un correo que de verdad viene de un boletín o una tienda donde te registraste, el enlace para cancelar la suscripción es seguro y es la forma más rápida de dejar de recibir sus correos. Pero si se trata de desuscribirse de correos spam o de un mensaje que sospechas que es una estafa, no hagas clic: el enlace puede confirmar que tu dirección funciona o abrir una página falsa de inicio de sesión, así que mejor denuncia el mensaje.

El botón para cancelar la suscripción que trae tu propia app de correo suele ser la vía más segura. Pero cualquier forma de cancelar la suscripción le dice al remitente que tu dirección está activa. Eso no hace daño con una empresa que ya tiene tu dirección, y es justo lo que busca quien envía spam. Para que las listas no lleguen a tu dirección principal desde el principio, CatchNone le da a cada tienda y a cada boletín su propia dirección y abre su correo con las imágenes remotas bloqueadas, en iPhone, iPad y Mac. Los menús y las reglas de este artículo se comprobaron en septiembre de 2026 con la documentación de Google, Apple, Microsoft y Yahoo.

¿Son seguros los enlaces para desuscribirse de correos? Depende del remitente

Fíjate en la última columna. Cancelar la suscripción, ya sea con un enlace, un botón o un correo, es un mensaje para el remitente. El RFC 8058, el estándar detrás de la cancelación de la suscripción con un clic, dice que le da “un fuerte indicio al remitente de que la dirección a la que se envió el mensaje era válida”. Bloquear y eliminar se quedan de tu lado, y denunciar no contacta directamente al remitente. Abrir un mensaje y cargar sus imágenes puede que ya le haya avisado al remitente, que es como funciona el seguimiento con píxeles en el correo.

¿No sabes con certeza si el correo de verdad viene de la empresa? No uses su enlace. El consejo sobre phishing de la Comisión Federal de Comercio de EE. UU. (FTC) es “comunicarte con la empresa por un número de teléfono o un sitio web que sepas que es real, no con la información del correo”. Abre la app de la empresa o escribe tú su dirección web, inicia sesión y desactiva los correos de marketing en la configuración de tu cuenta. En Outlook, un “?” en la foto del remitente significa que Outlook no pudo verificar al remitente.

Cómo pueden ser maliciosos los enlaces para cancelar la suscripción

Confirma que tu dirección está activa

Microsoft recomienda no responder nunca a un mensaje, “ni siquiera para cancelar la suscripción a una lista de correo”, salvo que conozcas al remitente y confíes en él, porque responder al spam confirma que tu dirección está activa. La ICO, la autoridad de protección de datos del Reino Unido, dice que responder al spam “demuestra que tu dirección de correo está activa” y que hacer clic en sus anuncios significa que “podrías recibir más correos”. Apple señala que quienes envían spam también usan la carga de imágenes para comprobar si una cuenta está activa.

Una página falsa te pide la contraseña

Algunos enlaces para “cancelar la suscripción” llevan a una página que te pide iniciar sesión para administrar tu suscripción. El consejo sobre phishing de Google es directo: si un enlace te pide la contraseña, “no ingreses tu información; ve directamente al sitio web que quieres usar”. La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) advierte que los sitios falsos “pueden verse idénticos a un sitio legítimo, pero la URL puede usar una variante en la ortografía o un dominio diferente”.

Te empuja a descargar algo malicioso

La FTC dice que a veces los estafadores envían enlaces y archivos adjuntos “que, si se abren o se hace clic en ellos, instalan malware dañino en el dispositivo”. Si una página te insiste con un archivo, una app o una “actualización de seguridad”, es el momento de cerrarla.

Cómo distinguir una página para desuscribirse real de una falsa

Una cancelación de la suscripción real nunca necesita tu contraseña, un pago ni una descarga. La guía de CAN-SPAM de la FTC dice que los remitentes de EE. UU. no pueden cobrar por sacarte de una lista, pedir información personal “más allá de una dirección de correo” ni exigir más que un correo de respuesta o una visita a “una sola página de un sitio web de internet”. La guía para remitentes de Yahoo recomienda un proceso para cancelar la suscripción que “no requiera que los usuarios inicien sesión”. Cierra la página si:

• te pide iniciar sesión antes de poder cancelar la suscripción;
• quiere más que tu dirección de correo, o te pide los datos de tu tarjeta;
• te ofrece un archivo para descargar o una app para instalar.

Una página de confirmación con un solo botón para cancelar la suscripción es normal: Mailchimp lleva a una de ellas a quien hace clic en el enlace del pie del correo. Tampoco es una señal de alerta por sí sola que el enlace esté en un dominio distinto del de la marca, porque plataformas como Mailchimp obligan a los remitentes a usar “el enlace para cancelar la suscripción que nosotros proporcionamos”. El dominio importa cuando una página te pide iniciar sesión.

¿Con qué frecuencia son peligrosos los enlaces para cancelar la suscripción?

Nadie publica una tasa confiable. DNSFilter, una empresa de seguridad DNS, le dijo al Wall Street Journal en junio de 2025 que aproximadamente 1 de cada 644 clics en enlaces con “unsubscribe” en la dirección llevaba a sitios potencialmente maliciosos. No ha publicado cómo lo midió, así que tómalo como una señal de que el riesgo es real, no como tu probabilidad.

¿El botón de tu app de correo para cancelar la suscripción es más seguro que el enlace?

Normalmente, sí. Las listas de correo pueden agregar un encabezado oculto, List-Unsubscribe, que le indica a tu app de correo cómo sacarte de la lista. Viene del RFC 2369, de 1998, y puede contener una dirección web, una dirección de correo o ambas. Cuando tu app lo encuentra, puede mostrar su propio control para cancelar la suscripción.

Es más seguro por dos razones:

• Gmail y Yahoo deciden si lo muestran. Las preguntas frecuentes para remitentes de Gmail dicen que muestra su botón “solo en los mensajes que pasan las verificaciones automáticas de elegibilidad de Google”, que incluyen sus reglas para remitentes y las denuncias de spam de los destinatarios. Yahoo muestra su botón azul Unsubscribe (Cancelar suscripción) junto a la dirección del remitente solo con un encabezado de un clic correcto y “suficiente reputación e interacción” (preguntas frecuentes para remitentes de Yahoo). No todas las apps revisan a los remitentes así: Apple no documenta una verificación de ese tipo, y algunas apps muestran el botón en cualquier mensaje que lleve el encabezado, spam incluido.
• Con un clic no se abre ninguna página web. Tu app envía una sola solicitud en segundo plano. El RFC 8058 dice que “NO DEBE incluir cookies, autorización HTTP ni ninguna otra información de contexto”, y el remitente no puede redirigirla. No hay nada en qué iniciar sesión ni nada que descargar.

No es una garantía:

• Go to website (Ir al sitio web). Gmail dice que algunos remitentes te obligan a visitar su sitio: el mismo tipo de página que el enlace del correo.
• Cancelaciones por correo. Cuando una app usa la dirección mailto: del encabezado, el resultado es un correo desde tu dirección a la lista, justo el tipo de respuesta contra el que advierte Microsoft.
• Aun así confirma tu dirección. El RFC 8058 dice que la solicitud debe llevar “suficiente información para identificar al destinatario del correo y la lista”.
• No demuestra que el remitente sea honesto. La cancelación con un clic necesita una firma DKIM, que muestra qué dominio firmó el mensaje, no que ese dominio sea confiable. Quien envía spam puede firmar el correo desde su propio dominio.
• Cubre una sola lista. Gmail dice que “es posible que solo anule tu suscripción a una única lista de distribución del remitente”.

Así que usa el botón con los remitentes que reconoces y, en lugar de cancelar la suscripción al spam, denúncialo.

¿Qué es la cancelación de la suscripción con un clic?

La cancelación de la suscripción con un clic, definida en el RFC 8058 en 2017, agrega un segundo encabezado, List-Unsubscribe-Post, para que tu app de correo pueda sacarte de una lista con una sola solicitud HTTPS en segundo plano: sin página web y sin correo. En los celulares a veces se le llama cancelación con un toque (one-tap unsubscribe). Este es el ejemplo del RFC. Para ver los encabezados de un mensaje real en Gmail en la web, ábrelo, haz clic en More (Más) junto a Reply (Responder) y luego en Show original (Mostrar original).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe enumera las formas de salir: una dirección de correo y una dirección web.
• opaque=123456789 es la parte que te identifica a ti y a la lista.
• List-Unsubscribe-Post la convierte en una cancelación con un clic: tu app envía POST /unsubscribe.html?opaque=123456789 con el cuerpo List-Unsubscribe=One-Click, y no se abre ninguna página.

La cancelación con un clic existe porque el software contra el spam que abre automáticamente la dirección para cancelar la suscripción que viene en los encabezados estaba dando de baja a la gente por accidente, así que los remitentes agregaron páginas de confirmación. Un POST permite a los remitentes distinguir tu solicitud de esas consultas automáticas, así que no hace falta una página de confirmación. Tu app no debe enviarla “sin el consentimiento del usuario”, y por eso te pide que confirmes.

Dónde encontrar el botón integrado para cancelar la suscripción

Gmail

En la web, Android, iPhone y iPad, la opción de Gmail para cancelar la suscripción con un clic está junto al nombre del remitente (pasos de Google):

1. Abre un correo del que quieras cancelar la suscripción.
2. Junto al nombre del remitente, haz clic o toca Anular la suscripción.
3. En la ventana emergente, elige Anular la suscripción o Go to website (Ir al sitio web).

Los correos pueden tardar unos días en dejar de llegar. La vista Manage subscriptions (Administrar suscripciones) de Gmail, lanzada en julio de 2025 y que todavía “se está implementando de forma gradual”, te saca de todas las listas activas de un remitente a la vez y envía a Spam los correos nuevos de ese remitente. Para abrirla, haz clic en More (Más) → Manage subscriptions en la web, o toca Menu (Menú) → Manage subscriptions en las apps.

La app Mail en Mac

En macOS 26 y macOS 27, un aviso debajo del encabezado marca los mensajes de una lista de correos. Haz clic en Cancelar suscripción en el aviso y luego en OK (Aceptar) en la alerta (pasos de Apple). Apple no documenta si Mail envía una solicitud de un clic o un correo desde tu cuenta, así que úsalo solo con remitentes que conoces.

iPhone y iPad

Las guías de Apple para iPhone y iPad no documentan un control para cancelar la suscripción dentro de los mensajes. En su lugar, documentan iCloud Mail Cleanup (limpieza de Mail de iCloud), que funciona solo con Mail de iCloud y no está disponible en todos los idiomas. Te sugiere remitentes de Updates (Actualizaciones) y Promotions (Promociones) y mueve sus correos futuros a Trash (Papelera). En iOS 26 y 27 está en Configuración → tu nombre → iCloud → Mail → iCloud Mail Cleanup; los pasos completos están en cómo encontrar las listas de correo en las que estás.

Si Mail muestra su propio botón Cancelar suscripción en la parte superior de un mensaje, Apple tampoco dice cómo funciona ese, así que úsalo solo con remitentes que conoces.

Outlook.com

Microsoft no documenta un botón por mensaje para cancelar la suscripción en Outlook.com, el nuevo Outlook ni las apps de Outlook. En su lugar, Outlook.com muestra los remitentes que reconoce en Settings (Configuración) → Mail (Correo) → Subscriptions (Suscripciones), con una opción Unsubscribe (Cancelar suscripción) para cada uno. En algunas apps, el cuadro de diálogo para denunciar también ofrece cancelar la suscripción; para el correo en el que no confías, elige la opción simple de denunciar o de bloquear.

¿Por qué algunos correos no tienen botón para cancelar la suscripción?

Normalmente porque el mensaje no pasó las verificaciones de tu proveedor o no lleva un encabezado que se pueda usar:

• Las verificaciones de Gmail y Yahoo. Como se explicó arriba, un encabezado correcto no basta si el mensaje no las pasa. Google dice que esto se aplica “incluso cuando los remitentes agregan su propio enlace para anular la suscripción en el cuerpo del mensaje”.
• Las excepciones de Outlook.com. Es posible que no veas la opción en el correo filtrado como correo no deseado ni en el de remitentes de tu lista de bloqueados.
• Sin firma DKIM. El RFC 8058 dice que una app “NO DEBERÍA ofrecer una cancelación de la suscripción con un clic” sin ella.
• Correo transaccional. Los comprobantes de compra, los restablecimientos de contraseña y los códigos de un solo uso no son suscripciones, y Gmail y Yahoo no exigen la cancelación con un clic en ellos.
• Remitentes que nunca la configuraron. Sin un encabezado List-Unsubscribe, tu app no tiene nada que mostrar.

Que falte el botón no significa que el mensaje sea una estafa, y que esté ahí no demuestra que el remitente sea honesto.

Por qué la cancelación con un clic se volvió común en 2024

Google anunció reglas para los remitentes masivos el 3 de octubre de 2023, y Yahoo respaldó los mismos cambios. Sus reglas a septiembre de 2026:

Los demás piden menos. Las reglas de Microsoft para Outlook.com, vigentes desde el 5 de mayo de 2025, exigen SPF, DKIM y DMARC a los dominios que envían más de 5000 correos al día, pero solo recomiendan un enlace para cancelar la suscripción que funcione. La página para postmasters de Mail de iCloud de Apple les pide a los remitentes masivos “un enlace para cancelar la suscripción”.

Para Gmail, solo cuenta el encabezado: las preguntas frecuentes de Google dicen que los enlaces para cancelar la suscripción con mailto: y con URL “no cumplen nuestro requisito de cancelación de la suscripción con un clic”, y desde noviembre de 2025 Gmail empezó a “intensificar la aplicación” de las reglas, incluidos rechazos. Estas son reglas de los proveedores, no leyes; el mínimo legal está en las preguntas frecuentes de abajo.

¿Cancelar la suscripción, denunciar spam, bloquear o denunciar phishing?

Hay dos detalles que suelen confundir. En Gmail, bloquear “no anula automáticamente tu suscripción a su lista de distribución”, como dice la ayuda sobre suscripciones de Google. En Outlook, cuando denuncias phishing, se denuncia al remitente pero no se bloquea, así que bloquéalo también si sigue escribiendo.

Las formas de denunciar y bloquear en Gmail, Outlook y la app Mail de Apple, y qué hacer con el spam que sigue llegando de todos modos, están en lo que de verdad reduce el spam. Una que es fácil pasar por alto: en Gmail en una computadora, Report phishing (Denunciar phishing) está en More (Más), junto a Reply (Responder). Si una empresa real te sigue escribiendo después de que cancelaste la suscripción, consulta por qué no funciona cancelar la suscripción para ver las causas habituales.

Qué hacer si ya hiciste clic en un enlace sospechoso para cancelar la suscripción

¿Tocaste o hiciste clic por accidente en la opción para cancelar la suscripción de un correo spam? Qué hacer depende de lo que pasó después:

• Solo hiciste clic o tocaste. Cierra la página, denuncia el correo como spam o phishing y elimínalo. El clic pudo haber confirmado tu dirección, así que podría llegarte más spam.
• Se descargó algo. No lo abras; elimínalo. La FTC dice que hay que “actualizar el software de seguridad de tu computadora. Luego, hacer un análisis y eliminar todo lo que identifique como un problema”.
• Escribiste una contraseña. Ve tú al sitio real, no a través del correo, y cambia la contraseña de inmediato. Luego cámbiala en cualquier otro lugar donde la hayas usado. Activa la verificación en dos pasos y busca inicios de sesión que no reconozcas; nuestra guía para comprobar si hackearon tu cuenta de correo cubre Google, Microsoft y Apple.
• Diste datos de tu tarjeta o de tu banco. Comunícate ahora con tu banco o con el emisor de tu tarjeta. En EE. UU., ve también a IdentityTheft.gov. En el Reino Unido, denúncialo en reportfraud.police.uk o llama al 0300 123 2040 (Inglaterra, Gales e Irlanda del Norte), o llama a Police Scotland al 101.

Para denunciar el correo más allá de tu proveedor de correo, ante el APWG y la FTC en EE. UU. o ante el NCSC en el Reino Unido, consulta dónde denunciar el spam y el phishing.

Olvídate de cancelar suscripciones: una dirección para cada lista

La solución más limpia está en el origen: dale a cada tienda y a cada boletín su propia dirección. Cuando una lista te ignora, vende tu dirección o sufre una filtración de datos, solo se ve afectada esa dirección, y puedes filtrarla o desactivarla sin tocar las demás. Los consejos de Apple sobre el spam terminan con “usa un alias de correo”.

La versión más simple es una dirección con el signo +: en los proveedores que lo admiten, incluido Gmail, el correo a you+shop@example.com llega a you@example.com. Pero cualquiera puede borrar la etiqueta, así que el remitente todavía puede deducir tu dirección principal. Los alias separados no la revelan, y CatchNone, más abajo, te da uno para cada lista y muestra su correo en su propia app. Nuestra guía sobre qué usar para registrarte compara las opciones.

Una dirección para cada lista, con CatchNone

CatchNone le da a cada tienda, boletín o cuenta su propia dirección: una dirección @catchnone.com aleatoria con Premium, sin dominio ni buzón que configurar, o una en un dominio tuyo, hasta 10 con el plan Gratis e ilimitadas con Lite y Premium. Cada mensaje lleva una etiqueta con el alias al que llegó, así que una lista que vende o filtra tu dirección queda a la vista. Solo recibe, por diseño: el correo de los registros se queda en su propia app. Los mensajes se abren con su JavaScript desactivado, y las imágenes remotas, incluida la mayoría de los píxeles de seguimiento, quedan bloqueadas hasta que las cargas. Si una lista te ignora o un alias atrae spam, desactiva su alias @catchnone.com y los remitentes recibirán un rebote, mientras tus otros alias siguen funcionando; en tu propio dominio, bloquea la dirección en tu proveedor.

Su botón Cancelar suscripción te pide confirmar primero. En las listas con cancelación con un clic, luego envía la solicitud desde tu dispositivo, sin cookies y sin página web, aunque la lista igual ve la dirección IP de tu dispositivo y se entera de que el alias está activo. Si no, cuando la lista da una dirección de correo, abre en tu app de correo habitual un correo con el destinatario ya puesto, que se envía desde tu dirección real. Si tampoco la da, abre la página del remitente. Los enlaces se abren en tu navegador sin modificarse, y el botón aparece en cualquier mensaje con un encabezado List-Unsubscribe, ya que CatchNone no comprueba DKIM ni la reputación del remitente, así que úsalo con listas que reconoces. Descarga CatchNone para iPhone, iPad y Mac.

Preguntas frecuentes

¿Es seguro desuscribirse de correos en el iPhone?

Con remitentes que conoces, sí: toca Anular la suscripción junto al nombre del remitente en la app de Gmail, usa iCloud Mail Cleanup con Mail de iCloud o, si no, usa el enlace del correo. Para el spam, desliza a la izquierda, toca More (Más) y luego Move to Junk (Mover a Correo no deseado). Apple también sugiere activar Proteger actividad en Mail (Configuración → Apps → Mail → Protección de la privacidad), y nuestra guía sobre cómo funciona la Protección de la privacidad en Mail explica qué cambia.

¿Debo desuscribirme de los correos spam?

No. El spam no es una lista a la que te uniste, así que no hay nada de qué salir, y hacer clic, tocar o responder puede confirmar que tu dirección está activa. Márcalo como spam o correo no deseado, lo que entrena tu filtro y no contacta directamente al remitente, y luego elimínalo; si el mismo remitente sigue escribiendo, bloquea la dirección. Cancela la suscripción solo a las listas en las que te registraste, y marca como spam cualquier lista que ignore tu cancelación.

¿Qué pasa cuando hago clic en Anular la suscripción en Gmail?

Una ventana emergente te pide confirmar con Anular la suscripción, o te ofrece Go to website (Ir al sitio web) con los remitentes que exigen su propia página. Los correos pueden tardar unos días en dejar de llegar. Si el remitente vuelve a escribir después de que cancelaste la suscripción, Gmail pone los correos nuevos en Spam.

¿Denunciar spam le avisa al remitente?

En Gmail, no de forma que te identifique: denunciar mueve el mensaje a Spam y entrena el filtro, y los comentarios que Gmail les da a los remitentes masivos son datos agregados de quejas por campaña. Yahoo es distinto: su Complaint Feedback Loop (circuito de retroalimentación de quejas) les envía a los remitentes inscritos un informe, con los encabezados del mensaje, cuando marcas su correo como spam. Con una lista a la que sí te uniste, Google recomienda cancelar la suscripción en su lugar.

¿La ley exige los enlaces para cancelar la suscripción?

En EE. UU., la ley CAN-SPAM exige que los correos comerciales incluyan una forma de darse de baja que funcione, atendida en un plazo de 10 días hábiles; el botón de un clic viene de las reglas para remitentes de Gmail y Yahoo, no de la ley. Los plazos por país están en por qué no funciona cancelar la suscripción.